Protokol PROXY v Squide: dôverujte odosielateľovi pred kontrolami prístupu HTTP

Kontroly odosielateľa protokolu PROXY v Squide držte oddelene od autorizácie cieľovej domény a požiadavky klienta.

Použite proxy_protocol_access na dôveru v relay, ktorý dodáva metadáta, nie na výber povolených webov. V Squide 5–7 sa kontrola spustí raz po nadviazaní TCP na listeneri require-proxy-header, pred spracovaním hlavičiek požiadavky HTTP:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Nahraďte ukážkovú adresu relay a obmedzte sieťový prístup k tomuto listeneru. V tejto fáze Squid overí skutočného TCP partnera, kým prijme dodané metadáta. Po prijatí používa tvrdenú adresu klienta na nasledujúce kontroly ACL a zaznamenávanie. Dôvera v relay na základe adresy klienta, ktorú tvrdí, by toto poradie obrátila.

Ponechajte http_access pre neskoršie oprávnenia zdroja klienta a cieľa. Prijatie metadát neautorizuje prístup k webom a ACL cieľovej domény nemôže odpovedať na skoršiu otázku dôvery v odosielateľa.

Odosielateľ a príjemca sa musia zhodnúť na podporovanej verzii protokolu PROXY. Bežný klient HTTP nemôže tento listener s povinným prefixom použiť ako obyčajný koncový bod proxy. Ak sú potrebné obe formy, použite zámerne oddelené koncové body namiesto duplikovania rovnakej adresy počúvania a portu.

Dôveryhodný relay môže ovplyvniť autorizáciu podľa adresy prostredníctvom identity klienta, ktorú dodáva. Túto schopnosť priznajte len zamýšľanému sprostredkovateľovi.

Súvisiace články